MTTD（平均検出時間）とは、サイバーセキュリティやIT運用において、セキュリティインシデント、脅威、または問題が発生してからそれを検出するまでに要する平均時間を測定するために用いられる主要業績評価指標（KPI）です。
「平均特定時間（MTTI）」や「平均発見時間（MTTD）」とも呼ばれるMTTDが短いほど、組織はインシデントをより迅速に特定し、対応できることを示しており、これは潜在的な被害を最小限に抑え、リスクを軽減するために極めて重要です。
テクノロジーへの依存度が高まる中、MTTDを理解し改善することは、事業の中断やダウンタイムの削減、エンドユーザー体験の向上、そして最終的には収益性の向上において重要な役割を果たします。
MTTDを定期的に追跡することで、既存のセキュリティ対策の強み、脆弱性、非効率性について、データに基づいた貴重な知見が得られます。
本記事では、MTTDという指標について、その重要性、そして検知能力を向上させ、脅威がサービス停止に発展する前に予見・防止するために活用できる実践的な手順や管理ツールについて解説します。
MTTDとは何の略ですか？
MTTDとは、検出までの平均時間を指します。 ITインシデント管理におけるこの重要な指標は、異常な活動を検知するまでに要する平均時間を測定するものです。
MTTDを追跡し、最小限に抑えることは、既存のセキュリティ監視およびインシデント対応能力の有効性を把握するために必要です。これには以下が含まれます：
- 脅威検知プロセスの速度と効率性の評価
- ベンチマークの実施と、長期的なセキュリティ運用の改善
- 既存のセキュリティ対策、監視ソリューション、およびインシデント対応計画における不備や弱点を明らかにすること
- 攻撃者が検知されずに活動できる総時間を制限することで、データ損失、エンドユーザーへの影響、およびシステムへの損害を軽減できる可能性があります
- セキュリティプログラムの成熟度の評価と改善
MTTDを測定することがなぜ重要なのでしょうか？
MTTDを理解することがどれほど重要かを理解するために、最近の攻撃事例を順を追って見ていきましょう。
2024年4月（ ）によると、Dellはブルートフォース攻撃（ ）を受け、最終的にシステムが侵害されました。 The hacker, who goes by Menelik, sent over 5,000 requests a minute for nearly three weeks to a Dell partner portal page—more than 50 million requests.
デルはそれに気づきませんでした。 The hacker took 49 million customer records and then emailed Dell to let them know.
デル社は、Webベースの攻撃を検知するための包括的なセキュリティ監視システムが整備されていなかった場合、あるいは同社のシステムがこの種の活動を検知してアラートを発するように設定されていなかった場合、あるいはインシデント対応チームやDevOpsチームが誤検知に追われていたためにアラートを見逃してしまった場合、メネリクの侵入を見逃していた可能性があります。
もしデルがこの件を単発の出来事として扱うならば、その対応は、脆弱性へのパッチ適用やパスワード管理規定の改善といった、その場しのぎの対策に重点が置かれる可能性があります。 これらは「メネリク」のような将来の攻撃を防ぐことはできるかもしれませんが、根本的な問題の解決にはつながりません。 より良いアプローチとしては、各社のMTTDをまとめて分析し、インシデント管理プロセスの傾向を把握することです。
MTTRとMTTDの違いは何ですか？
、平均修復時間（MTTR） 、および平均障害継続時間（MTTD）は、運用効率を評価する上で不可欠な指標ですが、これらはそれぞれ、問題への対応や処理における異なる側面を測定するために用いられています。 その違いには、次のようなものがあります：
- MTTR（ ）は、問題の解決にかかる時間を測定することに重点を置いています。 MTTRという頭字語は、平均解決時間（mean time to resolve）や平均応答時間（mean time to respond）といった他の指標と同義語としてよく使われます。
しかし、平均解決時間（mean time to resolve ）は通常、問題の検出、診断、修復からサービス復旧に至るまでの問題解決プロセス全体を網羅しています。 同様に、平均対応時間（Mean Time to respond ）とは、問題が特定されてから組織が対応に至るまでの所要時間を測定する指標です。 - MTTD（ ）は、インシデントの発生から、DevOps、IT、インシデント管理、セキュリティオペレーションセンター（SOC）チームなどの関係者がそれを検知するまでの時間のみに焦点を当てています。 MTTDは、チームが問題をどれだけ迅速に特定できるかに焦点を当てており、特に監視やアラート発行に用いられるシステムの有効性を評価するものです。
MTTDに関連する2つの指標として、平均故障時間（MTTF）と平均故障間隔（MTBF）があり、これらは組織が稼働時間に関する問題を特定するのに役立ちます：
- MTTF（ ）は、修理不可能なコンポーネントの平均寿命を測定する指標であり、チームが交換の準備を行う上で役立ちます。
- MTBF（ ）とは、修理可能なシステムの通常稼働中に、システムが故障するまでの平均時間を測定する指標です。 この指標は、システム全体の信頼性を示しています。
これらの指標を総合的に見ることにより、組織のインシデント対応プロセス、インシデント管理戦略、およびシステムの信頼性向上に向けた取り組みについて包括的な把握が可能となり、対応チームがワークフローの最適化やインフラの改善が可能な領域を特定するのに役立ちます。
MTTDはどのように計算するのでしょうか？
正確なインシデント検知データを使用すれば、MTTDの算出は簡単です。 インシデントの発生から発見までの時間を計測し、その時間を発生件数で割って平均を算出してください。
たとえば、4件のインシデントの検知に 60分、 77分、 45分、 30 分かかった場合、MTTDは53 分となります。
53 = (60 + 77 + 45 + 30) / 4 計算式は次のとおりです： MTTD = (総検知時間) / インシデント総数
外れ値を除外したり、インシデントを深刻度別に分類したりすることで、MTTDの計算をより精緻化し、さまざまな問題についてより詳細な分析を行うことができます。 信頼性の高いMTTDの算出結果があれば、インシデント対応能力の継続的な向上や、セキュリティ監視・管理の目標全体の達成を支えるフィードバックループが形成されます。
インシデント対応において、MTTDに影響を与える要因にはどのようなものがあるでしょうか？
「検出までの平均時間」を短縮することは、組織によっては難しい場合があります。 以下に、その妨げとなりうる一般的な課題をいくつか挙げます：
- 可視性の低下： 組織がネットワークの隅々にあるすべてのエンドポイントを完全に把握できていない場合、不審な活動が見過ごされてしまうような死角が必ず生じてしまいます。 こうした死角があると、検知までに時間がかかります。
- 検知プロセスの分断： 各チームが、 標準化された検知プロセスやデータ に関する共通の指針に基づいて作業を行わない場合、非効率や重複が生じ、脅威の特定やインシデント対応の遅れを招く恐れがあります。
- 限られたリソース： 多くの組織では、セキュリティチームの規模が小さかったり、業務に追われていたりするため、苦戦しています。 適切な専門知識やツールがなければ、アラートや潜在的な脅威への対応に時間がかかってしまい、MTTDを短くすることが難しくなります。
- 古くなった脅威インテリジェンス： ハッカーたちは、暇な時間を新しいサイバー攻撃の手口を考案することに費やしています。 組織は、 の最新の脅威インテリジェンス（ ）を常に把握し、相手の手口に先手を打つ必要があります。 後手後手に回っていると、インシデントを早期に発見することが難しくなります。
- アラート疲労： チームがアラート、特に誤検知のアラートにさらされ続けると、真の脅威を見逃してしまいがちです。 アラートを重大度順に優先順位付けし、自動フィルタリングを活用し、検出ルールを微調整することで、不要なノイズを削減します。
これらの課題に対処することで、MTTDを短縮し、組織のセキュリティをより強固に保つことができます。
組織はMTTDを短縮するために、どのような戦略を実施できるでしょうか？
MTTDの数値が低いということは、単にインシデントへの対応が迅速であるということだけではありません。問題が深刻化する前に、先手を打って問題を検知し、是正するための取り組みを実践していることを意味します。
組織がMTTDに積極的に取り組むために導入できるベストプラクティスを5つご紹介します：
明確な
インシデント対応計画
検知と対応を身に着けておけば、インシデントが発生した際にも、相手の次の動きを推測する必要がなくなります。 インシデント発生時にチームメンバーが果たすべき役割と責任、および調査、封じ込め、復旧手順、通知のテンプレートやプロセスなど、取るべき措置を明記した計画を作成してください。 四半期に1回、チーム対応やインシデント対応計画を常に最新の状態に保つため、実践演習（いわゆる「机上演習」）を実施してください。
- のエンドポイント管理ツール に投資し、可観測性の向上
を支援しましょう。システム全体で何が起きているかをリアルタイムで把握する必要があります。 これにより、チームは問題をより容易に検知し、トラブルシューティングを行い、ダウンタイムや業務の中断を最小限に抑えて問題を解決できるようになります。多くの場合、ユーザーに影響が及ぶ前に解決することが可能です。 このアプローチは、クラウドネイティブアプリケーションやマイクロサービスといった、問題の特定が困難になりがちな複雑で分散型のシステムにおいて、特に重要です。
- 可能な限り自動化しましょう
自動化により、異常を迅速に特定してフラグを立て、あらかじめ定義された対応プロトコルを実行し、インシデント通知プロセスを効率化することで、MTTDの短縮につながります。 の標準的なセキュリティ自動化機能（ ）には、MTTDを短縮するために、対応担当者に即座に情報を提供できるものが含まれています。具体的には以下の通りです：
• インシデントの検出： 自動監視ツールがシステムを継続的にスキャンし、異常を検知します
• アラートの優先順位付け： 自動システムが、あらかじめ定義された基準に基づいてアラートを分類し、優先順位を付けます
• 初期診断： 自動スクリプトが、人的介入の前に問題に関する予備情報を収集します - 継続的なチーム研修
監視ツールは膨大な量のデータを生成します。 このデータを効果的に活用するためには、各チームは最新の脅威インテリジェンスや新興技術に関する情報を常に把握しつつ、複雑なパターンを分析し、異常を検知するスキルを身につける必要があります。 継続的な研修を行うことで、運用チームやITチームがデータを効果的に分析し、問題を早期に発見し、サービス中断を防ぐために先手を打って対応できるようになります。
非難を伴わない事後検証
何か問題が起こった後は、責任のなすり合いに時間を費やさないでください。 その代わりに、その経験を成長のきっかけとして活かしましょう。
偏見のない事後分析を行うことで、何が問題だったのか、そして将来の問題をより迅速に発見する方法が明らかになります。 まずは、関係者が非難や報復を恐れることなく、気兼ねなく意見を述べられるような安全な場を設けることから始めましょう。
調査結果や決定事項を文書化し、アクションアイテムの一覧と実施スケジュールをまとめた上で、事後検討会を締めくくってください。 目標は、各インシデントを成長の機会と捉え、再発の可能性を低減するとともに、MTTDおよびMTTRを改善することです。
Tanium を使用して MTTD を改善する方法
セキュリティインシデントの影響を最小限に抑えるためには、検知までの平均時間を短縮することが極めて重要です。 次のようなソリューションなど
Tanium Incident Response
これらは、組織がこれを達成する上で極めて重要な役割を果たしています。
Taniumを導入することで、組織はすべてのエンドポイントに関するリアルタイムの可視性を獲得し、パフォーマンスやセキュリティ上の異常がセキュリティインシデントに発展する前に、チームが迅速に特定・診断し、対応できるよう支援することで、いかなる脅威も見逃さないようにします。これにより、組織のMTTDを短縮し、インシデントのライフサイクルを短縮します。
AEMの機能を最大限に活用する
Taniumプラットフォームは、脅威の検出と是正、パッチ管理、その他のエンドポイント管理タスク向けに、次世代のAIを活用した分析機能と自動化プロセスを提供することで、組織に対し、高度なサイバー攻撃からネットワークやエンドポイントを保護するための強力なツールを提供します。
組織がTaniumを活用して、エンドポイント全体にわたるセキュリティ上の問題をリアルタイムで検索・検出する方法をご覧ください。ここでは、脆弱性「 Log4j 」を例に挙げてご紹介します：
Taniumは、エンドユーザーに支障をきたすことなく、1つのプラットフォーム上で、部門をまたいだチーム間の連携、リアルタイムデータの収集、および問題の是正を支援します。
から、お客様の環境やビジネスニーズに合わせてカスタマイズされたデモ をリクエストいただければ、これらのメリットを実際にご体験いただけます。
